1、安全隱患的背景
當(dāng)前醫(yī)院各類信息系統(tǒng)數(shù)據(jù)庫存在大量的安全威脅和監(jiān)管漏洞，主要有三類信息安全問題：
·患者隱私信息批量泄密風(fēng)險(xiǎn)
從患者入院登記到治療、安排手術(shù)，需要經(jīng)過很多程序，病人的手機(jī)號(hào)碼等信息，只要是有內(nèi)網(wǎng)賬號(hào)的醫(yī)務(wù)人員都可以查詢到。醫(yī)院系統(tǒng)中存儲(chǔ)大量患者隱私信息，這些信息對(duì)整個(gè)醫(yī)療產(chǎn)業(yè)鏈如醫(yī)藥公司、健診中心、廣告、中介、保險(xiǎn)等行業(yè)具有重要的價(jià)值，新興的信息倒賣公司已經(jīng)將批量患者信息作為重要的商品，通過雇傭黑客入侵醫(yī)院系統(tǒng)，或收買醫(yī)院業(yè)務(wù)人員、信息中心人員、第三方維護(hù)和開發(fā)人員對(duì)批量患者數(shù)據(jù)進(jìn)行竊取。
·藥品“統(tǒng)方”信息被非法查詢風(fēng)險(xiǎn)
過去的幾年中，“統(tǒng)方”事件頻頻發(fā)生，有關(guān)醫(yī)藥代表與醫(yī)生、信息科人員勾結(jié)，非法獲取醫(yī)療統(tǒng)方數(shù)據(jù)的報(bào)道層出不窮。
非法“統(tǒng)方”勢(shì)頭一直不減的原因是無有效的技術(shù)手段幫助醫(yī)院防止“統(tǒng)方”，存在著無法有效區(qū)分正常統(tǒng)方和非法統(tǒng)方的行為差異，不具備主動(dòng)預(yù)防信息科人員、其他業(yè)務(wù)科室、系統(tǒng)維護(hù)人員等各內(nèi)部人群通過數(shù)據(jù)庫、應(yīng)用系統(tǒng)等主動(dòng)獲得處方數(shù)據(jù)的各種統(tǒng)方行為。
·醫(yī)療財(cái)務(wù)數(shù)據(jù)被非法篡改風(fēng)險(xiǎn)
以住院費(fèi)用查詢系統(tǒng)為例，住院病人費(fèi)用明細(xì)清單包括床位費(fèi)用、醫(yī)生診療費(fèi)用、藥品費(fèi)用、檢查費(fèi)用等重要信息，這些醫(yī)療財(cái)務(wù)數(shù)據(jù)出現(xiàn)異動(dòng)的原因，有可能是人為輸入有誤，但主要原因是被非法篡改。
維護(hù)人員、程序開發(fā)人員、信息中心業(yè)務(wù)人員擁有數(shù)據(jù)庫的高級(jí)別權(quán)限，正常的數(shù)據(jù)維護(hù)工作和敏感數(shù)據(jù)的非法篡改，從權(quán)限上無法分離;同時(shí)，醫(yī)療信息系統(tǒng)往往是院方內(nèi)部人員、廠商程序開發(fā)人員和實(shí)施人員共同維護(hù)數(shù)據(jù)。一旦發(fā)生了違規(guī)的數(shù)據(jù)篡改行為，也無法有效界定到底是哪方人員造成的安全事故。
2、安全風(fēng)險(xiǎn)與需求分析
2.1、風(fēng)險(xiǎn)分析
在醫(yī)院信息系統(tǒng)中，數(shù)據(jù)庫訪問有如下渠道存在數(shù)據(jù)泄露和篡改風(fēng)險(xiǎn)：
1.內(nèi)網(wǎng)：敏感信息泄密風(fēng)險(xiǎn)
·信息中心數(shù)據(jù)庫管理員：
有權(quán)限直接訪問數(shù)據(jù)庫，隨時(shí)導(dǎo)出所有敏感數(shù)據(jù)，目前沒有任何安全措施限制管理員訪問敏感信息，一旦發(fā)生泄密事件，無法免除責(zé)任;
·開發(fā)商實(shí)施人員：
可通過掌握的數(shù)據(jù)庫賬戶口令，繞開業(yè)務(wù)應(yīng)用系統(tǒng)，直接訪問醫(yī)療核心信息系統(tǒng)數(shù)據(jù)庫;
·內(nèi)網(wǎng)中其他業(yè)務(wù)處室人員：
現(xiàn)有醫(yī)療系統(tǒng)仍然有c/s架構(gòu)的客戶端直接連數(shù)據(jù)庫，同時(shí)數(shù)據(jù)庫服務(wù)器沒有安全手段，確保只接受來自于應(yīng)用服務(wù)器等固定IP地址的數(shù)據(jù)訪問，在知道數(shù)據(jù)庫賬戶后，通過其他計(jì)算機(jī)的數(shù)據(jù)庫客戶端訪問數(shù)據(jù)庫導(dǎo)致數(shù)據(jù)泄密。
2.內(nèi)網(wǎng)：敏感數(shù)據(jù)篡改風(fēng)險(xiǎn)
·數(shù)據(jù)庫DBA：可隨時(shí)任意訪問數(shù)據(jù)庫，直接修改敏感信息;
·實(shí)施維護(hù)人員/開發(fā)人員：
可通過掌握的數(shù)據(jù)庫賬戶口令，繞過應(yīng)用程序，通過其他數(shù)據(jù)庫客戶端工具直接訪問醫(yī)療數(shù)據(jù)庫，修改敏感信息;
3.外網(wǎng)：患者敏感信息批量泄漏
·外部黑客攻擊：以外網(wǎng)應(yīng)用系統(tǒng)作為跳板，利用數(shù)據(jù)庫的漏洞，直接進(jìn)行sql注入或權(quán)限提升等操作，批量獲得數(shù)據(jù)庫的敏感信息;
·DBA、實(shí)施維護(hù)、開發(fā)人員、測(cè)試人員：
與內(nèi)網(wǎng)中的情況類似，都有機(jī)會(huì)直接接觸數(shù)據(jù)庫，獲得批量敏感信息等內(nèi)容。
2.2、需求分析
從使用人群上分析，信息中心、其他業(yè)務(wù)處室、廠商開發(fā)運(yùn)維人員能接觸到數(shù)據(jù)庫敏感信息的人員有數(shù)十人，其他醫(yī)療窗口及管理人員間接接觸數(shù)據(jù)庫敏感信息的人員有幾百人，他們有不同的應(yīng)用或數(shù)據(jù)庫訪問權(quán)限，存在越權(quán)查詢敏感信息，批量查詢和導(dǎo)出信息等風(fēng)險(xiǎn)情況
從數(shù)據(jù)庫訪問行為控制分析，防高危操作，防SQL注入，對(duì)批量數(shù)據(jù)查詢的實(shí)時(shí)告警，同時(shí)對(duì)數(shù)據(jù)庫的惡意訪問將記入審計(jì)日志，進(jìn)行事后分析。具體的技術(shù)分析如下：
▶防止外部黑客攻擊
威脅：黑客利用Web應(yīng)用漏洞，進(jìn)行SQL注入;或以Web應(yīng)用服務(wù)器為跳板，利用數(shù)據(jù)庫自身漏洞攻擊和侵入。
▶防止內(nèi)部高危操作
威脅：系統(tǒng)維護(hù)人員、外包人員、開發(fā)人員等，擁有直接訪問數(shù)據(jù)庫的權(quán)限，有意無意的高危操作對(duì)數(shù)據(jù)造成破壞。
▶防止敏感數(shù)據(jù)泄漏
威脅：黑客、開發(fā)人員可以通過應(yīng)用批量下載敏感數(shù)據(jù)，內(nèi)部維護(hù)人員遠(yuǎn)程或本地批量導(dǎo)出敏感數(shù)據(jù)。
▶審計(jì)追蹤非法行為
威脅：業(yè)務(wù)人員在利益誘惑下，通過業(yè)務(wù)系統(tǒng)提供的功能完成對(duì)敏感信息的訪問，進(jìn)行信息的售賣和數(shù)據(jù)篡改。
從數(shù)據(jù)庫自身安全加固的技術(shù)層面分析，在核心信息系統(tǒng)中至少存在以下重要數(shù)據(jù)庫安全威脅，能夠直接導(dǎo)致敏感信息泄密的發(fā)生：
▶系統(tǒng)維護(hù)人員導(dǎo)出或篡改數(shù)據(jù)
▶第三方人員直接接觸敏感數(shù)據(jù)
因此，醫(yī)院信息系統(tǒng)的數(shù)據(jù)庫信息安全核心需求就是要重點(diǎn)解決以上三大數(shù)據(jù)庫安全威脅。此外衛(wèi)生部對(duì)醫(yī)療行業(yè)“防統(tǒng)方”有政策要求：2010年6月21日頒發(fā)的《衛(wèi)生部關(guān)于進(jìn)一步深化治理醫(yī)藥購銷領(lǐng)域商業(yè)賄賂工作的通知》中明確指出，“未經(jīng)批準(zhǔn)不得統(tǒng)方，嚴(yán)禁為商業(yè)目的統(tǒng)方”。
3、安全解決之道
3.1、解決方案
天融信公司憑借長期積累的信息安全經(jīng)驗(yàn)提出，醫(yī)院信息系統(tǒng)數(shù)據(jù)安全防護(hù)解決思路需分為兩部分，一是從技術(shù)手段上解決數(shù)據(jù)篡改和泄密的安全隱患，二是從管理手段上解決數(shù)據(jù)庫管理員權(quán)限過大，無法進(jìn)行安全管理的問題。
技術(shù)措施包括：
·數(shù)據(jù)庫防火墻
◆虛擬補(bǔ)?。和ㄟ^數(shù)據(jù)庫防火墻的虛擬補(bǔ)丁包，形成外圍防護(hù)層，防止以外網(wǎng)應(yīng)用系統(tǒng)為跳板，入侵者利用數(shù)據(jù)庫的權(quán)限提升等漏洞，批量數(shù)據(jù)下載。
◆防SQL注入：通過規(guī)則處理、黑白名單機(jī)制，防止違規(guī)的SQL注入操作發(fā)生，避免數(shù)據(jù)數(shù)被盜。
·天融信數(shù)據(jù)庫審計(jì)系統(tǒng)(防統(tǒng)方專用版)
◆系統(tǒng)針對(duì)醫(yī)療系統(tǒng)進(jìn)行深度協(xié)議與數(shù)據(jù)分析，通過旁路方式抓取所有醫(yī)生使用的醫(yī)療終端和HIS服務(wù)器之間的通信數(shù)據(jù)，使用特定的腳本處理業(yè)務(wù)數(shù)據(jù)，得出其操作行為，并針對(duì)危險(xiǎn)操作通過郵件、短信等方式告警并記錄其行為，同時(shí)也可以配置響應(yīng)處理策略，將損失降到最低。
◆符合國家等級(jí)保護(hù)等政策法規(guī)、標(biāo)準(zhǔn)、規(guī)定的要求，是提高醫(yī)院進(jìn)行防統(tǒng)方建設(shè)不可或缺的產(chǎn)品。
管理措施包括：
▶對(duì)所有數(shù)據(jù)庫定期進(jìn)行安全巡檢;
▶通過三權(quán)分立改變現(xiàn)有安全管理機(jī)制，對(duì)數(shù)據(jù)庫運(yùn)維有效地進(jìn)行管控;
▶通過數(shù)據(jù)庫詳細(xì)審計(jì)，對(duì)數(shù)據(jù)庫惡意操作進(jìn)行有效追蹤。
3.2、系統(tǒng)部署圖
綜合分析醫(yī)院信息系統(tǒng)中的數(shù)據(jù)庫安全威脅，以“保護(hù)敏感信息泄密、防止數(shù)據(jù)異動(dòng)”為最終目標(biāo)，以“最小的代價(jià)換取盡量大的安全提升”的原則，定義出該系統(tǒng)的核心敏感數(shù)據(jù)，并進(jìn)行有效的安全訪問控制和事后審計(jì)。
3.3、特色說明
1) 防護(hù)思路的先進(jìn)性
傳統(tǒng)的安全解決方案，注重于網(wǎng)絡(luò)安全防護(hù)、應(yīng)用安全防護(hù)、認(rèn)證安全防護(hù)，但忽略了數(shù)據(jù)庫安全防護(hù)。
2) 數(shù)據(jù)安全防護(hù)的全面性
A、防護(hù)時(shí)機(jī)的全面性
B、防護(hù)對(duì)象的全面性
C、防護(hù)泄密渠道的全面性
3) 防護(hù)技術(shù)的領(lǐng)先性
天融信公司提供專業(yè)數(shù)據(jù)庫安全防護(hù)產(chǎn)品——數(shù)據(jù)庫防火墻和數(shù)據(jù)庫審計(jì)系統(tǒng)(防統(tǒng)方版);數(shù)據(jù)庫安全產(chǎn)品不同于傳統(tǒng)的網(wǎng)絡(luò)安全產(chǎn)品，能夠?qū)崿F(xiàn)對(duì)數(shù)據(jù)庫的整體安全加固。